Ingress vs Egress – jaka jest różnica

Ingress vs egress : wydaje się, że trwa niekończąca się debata na temat tych terminów. Są trochę archaiczne, a ich znaczenie wydaje się być inne w różnych sytuacjach.

Dziś dołożymy wszelkich starań, aby rzucić nieco światła na tę tajemnicę. Nie chcemy jednak wdawać się w filozoficzną debatę. Naszym jedynym celem jest dołożenie wszelkich starań, aby wyjaśnić te terminy i sposób, w jaki są one zwykle używane w kontekście networkingu. Ale nawet to, jak zaraz zobaczysz, może być dość mylące.

Ingress vs Egress

• Zaczniemy od zdefiniowania tych dwóch terminów, najpierw językowo, a następnie w specyficznym kontekście sieci komputerowych.
• Następnie wyjaśnimy, w jaki sposób ich znaczenie może się różnić w zależności od punktu widzenia danej osoby lub zakresu, który rozważamy. Ten sam ruch wychodzący w jednej sytuacji może stać się ruchem przychodzącym w innej.
• Następnie porozmawiamy o monitorowaniu ruchu przychodzącego i wychodzącego i przedstawimy niektóre z najlepszych narzędzi, których możesz użyć do tego celu. Ale poczekaj! Jest więcej.
• Omówimy również ruch wychodzący w konkretnym kontekście bezpieczeństwa danych i przedstawimy kilka najlepszych praktyk, aby chronić się przed ucieczką danych.
• I zachowując nasze dobre nawyki, przyjrzymy się niektórym z najlepszych narzędzi SIEM, których możesz użyć do wykrywania niepożądanych danych wychodzących.

Definiowanie wejścia i wyjścia

Mówiąc językiem, zdefiniowanie któregokolwiek z tych słów nie mogłoby być łatwiejsze (zamierzona gra słów). Zobaczmy, co na ten temat ma do powiedzenia słownik Merriam-Webster.

• W prosty i prosty sposób (prawie nudno) definiuje ingres jako „ akt wejścia” . Wystarczająco proste, nie?
• A wyjście nie jest dużo bardziej skomplikowane, ponieważ to samo źródło definiuje je jako „ akcję wyjścia lub wyjścia” .

Tutaj znowu dość prosta definicja. Jeśli zechcesz sprawdzić inne źródła, znajdziesz zdecydowany konsensus. Ingress wchodzi, a egres wychodzi.

W kontekście ruchu sieciowego

Ale ten wpis na blogu nie dotyczy językoznawstwa, ale administracji sieciowej. I to jest miejsce, w którym wejście i wyjście może być nieco bardziej zagmatwane. Jednak nadal jest tak samo i dotyczy wprowadzania i wychodzenia danych z sieci, urządzenia lub interfejsu. Jak dotąd nic skomplikowanego. Trudne jest jednak to, że ludzie nie zgadzają się co do tego, co jest, a co nie. Widzisz, czasami tajniki jednego są przejawami drugiego.

Wszystko zależy od Twojego punktu widzenia

Ingress lub egress, w odniesieniu do ruchu sieciowego, ma związek z tym, jak widzisz rzeczy, zależy to od twojego punktu widzenia. W większości innych sytuacji wejście i wyjście to wyjście; nie ma w tym nic mylącego. Nie dotyczy to jednak sieci. Spróbujmy to wyjaśnić na kilku konkretnych przykładach.

Naszym pierwszym przykładem jest brama internetowa. Może to być router, serwer proxy lub firewall, to nie ma znaczenia. Jest to urządzenie, które znajduje się między Twoją siecią lokalną a Internetem. Myślę, że w tym przypadku wszyscy zgodziliby się, że Internet jest uważany za zewnętrzną, a sieć lokalną za wewnętrzną.

Tak więc ruch przychodzący Z Internetu DO sieci lokalnej byłby ruchem przychodzącym, a ruch Z sieci lokalnej DO Internetu byłby ruchem wychodzącym. Jak dotąd to wciąż proste.

Ale jeśli spojrzysz na rzeczy z punktu widzenia interfejsu sieciowego, sprawy się zmienią. W poprzednim przykładzie, jeśli spojrzysz na ruch w interfejsie LAN, ruch idący do Internetu jest teraz ruchem przychodzącym, gdy wchodzi do bramy. Podobnie ruch idący do sieci lokalnej nie jest ruchem wychodzącym, ponieważ opuszcza bramę.

Podsumowując, rozróżnienie ruchu przychodzącego i wychodzącego wymaga, abyśmy wszyscy zgodzili się, o czym mówimy.

Jak widzieliśmy, ruch przychodzący w jednym kontekście może być ruchem wychodzącym w innym . Naszą najlepszą sugestią byłoby albo całkowite unikanie używania tych terminów, albo jasne określenie kontekstu ich wykorzystania za każdym razem, gdy ich używasz. W ten sposób unikniesz zamieszania.

Monitorowanie ruchu wychodzącego i przychodzącego

Teraz, gdy znamy terminologię, przyjrzyjmy się monitorowaniu ruchu przychodzącego i wychodzącego.

Zazwyczaj odbywa się to za pomocą specjalnego oprogramowania zwanego narzędziami do monitorowania sieci lub monitorowania przepustowości. Narzędzia te wykorzystują prosty protokół zarządzania siecią (SNMP) do odczytu liczników interfejsów ze sprzętu podłączonego do sieci. Liczniki te po prostu zliczają liczbę bajtów wchodzących i wychodzących z każdego interfejsu sieciowego.

Należy pamiętać, że narzędzia do monitorowania rzadko wykorzystują ruch przychodzący i wychodzący i zwykle odnoszą się do ruchu przychodzącego i wychodzącego z interfejsu. Od Ciebie zależy, jeśli sobie tego życzysz, określenie, który jest ruchem przychodzącym, a który wychodzącym, ponownie w zależności od konkretnego kontekstu.

Kilka narzędzi, które polecamy

Dostępnych jest wiele narzędzi do monitorowania przepustowości lub sieci. Prawdopodobnie za dużo i wybranie najlepszego – a nawet tylko dobrego – może być wyzwaniem. Wypróbowaliśmy wiele dostępnych narzędzi i opracowaliśmy listę kilku najlepszych narzędzi do monitorowania przepustowości, jakie można znaleźć.

1. Monitor wydajności sieci SolarWinds (BEZPŁATNA PRÓBNA)

SolarWinds jest jednym z najlepszych twórców narzędzi do administrowania siecią. Sztandarowym produktem firmy jest SolarWinds Network Performance Monitor , czyli NPM . Jest to bardzo kompletne rozwiązanie do monitorowania sieci, wyposażone w przyjazny dla użytkownika graficzny interfejs użytkownika, którego administratorzy mogą używać do monitorowania urządzeń i konfigurowania narzędzia.

System wykorzystuje SNMP do odpytywania urządzeń i wyświetlania wykorzystania ich interfejsów, a także innych przydatnych metryk na graficznym pulpicie nawigacyjnym.

Oprócz tego pulpitu nawigacyjnego można generować różne wbudowane raporty na żądanie lub na podstawie zaplanowanego wykonania. A jeśli wbudowane raporty nie dostarczają potrzebnych informacji, można je dowolnie dostosowywać.

Pakiet zawiera również kilka przydatnych narzędzi, takich jak możliwość wyświetlenia wizualnej wersji poprawki krytycznej między dowolnymi dwoma punktami sieci. To narzędzie jest wysoce skalowalne i będzie pasować do każdej sieci, od najmniejszych do dużych sieci z tysiącami urządzeń rozmieszczonych w wielu lokalizacjach.

• BEZPŁATNA PRÓBNA: Monitor wydajności sieci SolarWinds
• Oficjalny link do pobrania: https://www.solarwinds.com/network-performance-monitor/registration

System ostrzegania SolarWinds Network Performance Monitor to kolejne miejsce, w którym produkt błyszczy. Jak donosi, można go dostosować w razie potrzeby, ale można go również używać natychmiast po zainstalowaniu przy minimalnej konfiguracji. Silnik alertów jest na tyle sprytny, że nie wysyła powiadomień o „nieistotnych” zdarzeniach w środku nocy lub wysyła setki powiadomień dla tylu nieodpowiadających urządzeń, gdy głównym problemem jest router w dół lub przełącznik sieciowy w górę.

Ceny monitora wydajności sieci SolarWinds zaczynają się od prawie 3 000 USD i rosną w zależności od liczby urządzeń do monitorowania.

Struktura cen jest w rzeczywistości dość złożona i powinieneś skontaktować się z zespołem sprzedaży SolarWinds w celu uzyskania szczegółowej wyceny.

Jeśli wolisz wypróbować produkt przed jego zakupem, bezpłatna 30-dniowa wersja próbna jest dostępna do pobrania ze strony internetowej SolarWinds.

2. ManageEngine OpManager

ManageEngine to kolejny dobrze znany wydawca narzędzi do zarządzania siecią.

ManageEngine OpManager jest kompletnym rozwiązaniem do zarządzania, które będzie obsługiwać prawie każde zadanie monitorowania można rzucić na niego.

Narzędzie działa w systemie Windows lub Linux i jest wyposażone w świetne funkcje. Dostępna jest między innymi funkcja automatycznego wykrywania, która może mapować Twoją sieć, zapewniając wyjątkowo dostosowany pulpit nawigacyjny.

ManageEngine OpManager jest deska rozdzielcza jest bardzo łatwy w użyciu i poruszać , dzięki swojej funkcjonalności drążenia. A jeśli interesują Cię aplikacje mobilne, dostępne są aplikacje na tablety i smartfony, które umożliwiają dostęp do narzędzia z dowolnego miejsca. Jest to ogólnie bardzo dopracowany i profesjonalny produkt.

Ostrzeganie jest tak samo dobre w OpManager, jak wszystkie inne jego komponenty. Istnieje pełny zestaw alertów opartych na progach, które pomogą wykrywać, identyfikować i rozwiązywać problemy z siecią. Dla wszystkich metryk wydajności sieci można ustawić wiele progów z różnymi powiadomieniami.

Jeśli chcesz wypróbować produkt przed zakupem, dostępna jest darmowa wersja. Chociaż jest to naprawdę darmowa wersja, a nie ograniczona czasowo wersja próbna, ma pewne ograniczenia, takie jak umożliwienie monitorowania nie więcej niż dziesięciu urządzeń.

To jest niewystarczające dla wszystkich, z wyjątkiem najmniejszych sieci. W przypadku większych sieci możesz wybrać plan Essential lub Enterprise . Pierwszy pozwoli Ci monitorować do 1000 węzłów, a drugi do 10 000.

• BEZPŁATNA PRÓBNA: ManageEngine OpManager
• Oficjalny link do pobrania : https://www.manageengine.com/network-monitoring-msp/download.html

Informacje o cenach można uzyskać kontaktując się z działem sprzedaży ManageEngine .

3. Monitor sieci PRTG

PRTG Network Monitor , które my po prostu nazywamy PRTG , to kolejny świetny system monitoringu. Jego wydawca twierdzi, że to narzędzie może monitorować wszystkie systemy, urządzenia, ruch i aplikacje Twojej infrastruktury IT. Jest to pakiet all-inclusive, który nie opiera się na zewnętrznych modułach ani dodatkach, które należy pobrać i zainstalować. Ze względu na swoją zintegrowaną naturę jest szybszy i łatwiejszy w instalacji niż większość innych narzędzi do monitorowania sieci. Możesz wybierać między kilkoma różnymi interfejsami użytkownika, takimi jak konsola Windows Enterprise, interfejs sieciowy oparty na Ajax i aplikacje mobilne na Androida i iOS.

PRTG Network Monitor różni się od większości innych narzędzi monitorujących tym, że jest w oparciu o czujnik. Do narzędzia można dodać różne funkcje monitorowania, po prostu konfigurując dodatkowe czujniki. Są jak wtyczki, z tą różnicą, że nie są zewnętrznymi modułami, ale zamiast tego są dołączone do produktu. PRTG obejmuje ponad 200 takich czujników, które pokrywają różne potrzeby monitorowania. W przypadku metryk wydajności sieci czujnik QoS i zaawansowany czujnik PING umożliwiają monitorowanie opóźnień i fluktuacji, podczas gdy standardowy czujnik SNMP umożliwia monitorowanie przepustowości.

PRTG struktura cenowa jest dość prosta. Dostępna jest darmowa wersja, która jest w pełni funkcjonalna, ale ogranicza możliwości monitorowania do 100 czujników. Dostępna jest również 30-dniowa wersja próbna, która jest nieograniczona, ale po zakończeniu okresu próbnego zostanie przywrócona do wersji bezpłatnej. Jeśli chcesz nadal monitorować ponad 100 czujników poza okresem próbnym, musisz kupić licencję. Ich cena waha się w zależności od liczby czujników od 1 600 USD za 500 czujników do 14 500 USD za nieograniczoną liczbę czujników. Każdy monitorowany parametr liczy się jako jeden czujnik. Na przykład monitorowanie przepustowości na każdym porcie 48-portowego przełącznika będzie liczone jako 48 czujników.

Wyjazd w kontekście bezpieczeństwa

Istnieje inne zastosowanie terminu egress wśród administratorów sieci i systemów, które jest specyficzne dla kontekstu bezpieczeństwa danych. Odnosi się do danych opuszczających lokalną sieć organizacji. Wychodzące wiadomości e-mail, przesyłane do chmury lub pliki przenoszone do pamięci zewnętrznej to proste przykłady wychodzących danych. Jest to normalna część aktywności sieciowej, ale może stanowić zagrożenie dla organizacji, gdy poufne dane wyciekną do nieautoryzowanych odbiorców, nieświadomie lub złośliwie.

Zagrożenia związane z wydostawaniem się danych

Informacje wrażliwe, zastrzeżone lub łatwo zarabiające są często celem wszelkiego rodzaju cyberprzestępców. Ujawnianie poufnych lub zastrzeżonych informacji opinii publicznej lub konkurencyjnym organizacjom jest prawdziwym problemem dla przedsiębiorstw, rządów i wszelkiego rodzaju organizacji. Zagrożenia mogą próbować ukraść poufne dane za pomocą tych samych metod, których wielu pracowników używa na co dzień, takich jak poczta e-mail, USB lub przesyłanie do chmury.

Najlepsze praktyki zapobiegania niepożądanemu wyciekowi danych

Możesz wiele zrobić, aby chronić swoją organizację przed nieautoryzowanym dostępem danych, ale kilka z nich jest szczególnie ważnych. Przyjrzyjmy się dwóm podstawowym zasadniczym, które musisz zrobić.

Stwórz akceptowalną politykę egzekwowania ruchu i ruchu wychodzącego

Uwzględnij interesariuszy, aby zdefiniować zasady dopuszczalnego użytkowania. Polityka powinna być bardzo dokładna i chronić zasoby Twojej firmy. Może na przykład zawierać wykaz zatwierdzonych usług dostępnych w Internecie oraz wytyczne dotyczące dostępu do danych wrażliwych i postępowania z nimi. I nie zapominaj, że tworzenie takich zasad to jedno, ale musisz też przekazać je użytkownikom i upewnić się, że je rozumieją.

Zaimplementuj reguły zapory, aby zablokować ruch wychodzący do złośliwych lub nieautoryzowanych miejsc docelowych

Zapora sieciowa to tylko jedna z kilku linii obrony przed zagrożeniami. Jest to dobry punkt wyjścia, w którym można się upewnić, że wyprowadzanie danych nie nastąpi bez wyraźnej zgody.

SIEM — pomoc w zapobieganiu wydostawaniu się danych

Bez względu na to, co robisz, monitorowanie pozostaje jednym z najlepszych sposobów ochrony przed wyciekiem danych. Za każdym razem, gdy dochodzi do wycieku danych, chcesz od razu o tym wiedzieć, aby móc podjąć odpowiednie działania. Tutaj mogą pomóc narzędzia do zarządzania informacjami o zabezpieczeniach i zdarzeniami (SIEM).

Konkretnie, system SIEM nie zapewnia żadnej twardej ochrony. Jego głównym celem jest ułatwienie życia administratorom sieci i zabezpieczeń, takim jak Ty. To, co tak naprawdę robi typowy system SIEM, to zbieranie informacji z różnych systemów ochrony i wykrywania, korelowanie wszystkich tych informacji, gromadzenie powiązanych zdarzeń i reagowanie na istotne zdarzenia na różne sposoby. W większości przypadków narzędzia SIEM zawierają również pewną formę raportowania i/lub pulpitów nawigacyjnych.

Niektóre z najlepszych narzędzi SIEM

Aby dać Ci wyobrażenie o tym, co jest dostępne i pomóc Ci wybrać odpowiednie narzędzie SIEM do Twoich potrzeb, przygotowaliśmy listę niektórych z najlepszych narzędzi SIEM.

1. Menedżer zdarzeń bezpieczeństwa SolarWinds (BEZPŁATNA PRÓBNA)

Ten sam SolarWinds, który dostarczył nam omawiany powyżej Monitor sieci, ma również ofertę dotyczącą informacji o bezpieczeństwie i zarządzania zdarzeniami. W rzeczywistości jest to jedno z najlepszych dostępnych narzędzi SIEM. Może nie być tak w pełni funkcjonalny, jak niektóre inne narzędzia, ale to, co robi, działa bardzo dobrze i ma wszystkie wymagane funkcje. Narzędzie to nazywa się SolarWinds Security Event Manager ( SEM ). Najlepiej opisać go jako podstawowy system SIEM, ale jest to prawdopodobnie jeden z najbardziej konkurencyjnych systemów klasy podstawowej na rynku. SolarWinds SEM ma wszystko, czego można oczekiwać od systemu SIEM, w tym doskonałe funkcje zarządzania dziennikami i korelacji, które mogą pomóc w wykrywaniu nieautoryzowanego wyjścia danych, oraz imponujący silnik raportowania.

BEZPŁATNA PRÓBNA: SolarWinds Security Event Manager

Oficjalny link do pobrania: https://www.solarwinds.com/security-event-manager/registration

Jeśli chodzi o funkcje reagowania narzędzia na zdarzenia, zgodnie z oczekiwaniami SolarWinds , nie pozostawiają one nic do życzenia. Szczegółowy system reagowania w czasie rzeczywistym będzie aktywnie reagował na każde zagrożenie. A ponieważ opiera się na zachowaniu, a nie na sygnaturze, jesteś chroniony przed nieznanymi lub przyszłymi zagrożeniami. Pulpit nawigacyjny narzędzia jest prawdopodobnie jednym z jego najlepszych atutów. Dzięki prostemu projektowi nie będziesz mieć problemów z szybką identyfikacją anomalii. Narzędzie jest bardziej niż przystępne cenowo, zaczynając od około 4500 USD. A jeśli chcesz najpierw wypróbować, bezpłatna, w pełni funkcjonalna 30-dniowa wersja próbna jest dostępna do pobrania.

Oficjalny link do pobrania: https://www.solarwinds.com/security-event-manager/registration

2. Bezpieczeństwo korporacyjne Splunk

Prawdopodobnie jeden z najpopularniejszych systemów SIEM, Splunk Enterprise Security – lub po prostu Splunk ES , jak się go często nazywa – słynie ze swoich możliwości analitycznych. Splunk ES monitoruje dane systemu w czasie rzeczywistym, szukając luk w zabezpieczeniach i oznak nieprawidłowej aktywności. System wykorzystuje własny Adaptive Response Framework ( ARF ) firmy Splunk, który integruje się ze sprzętem ponad 55 dostawców zabezpieczeń. ARFwykonuje automatyczną odpowiedź, co pozwala szybko zyskać przewagę. Dodaj do tego prosty i przejrzysty interfejs użytkownika, a otrzymasz zwycięskie rozwiązanie. Inne interesujące funkcje obejmują funkcję „Notables”, która pokazuje alerty, które można dostosować do własnych potrzeb, oraz „Asset Investigator” do oznaczania złośliwych działań i zapobiegania dalszym problemom.

Splunk ES to produkt klasy korporacyjnej i jako taki jest oferowany w cenie korporacyjnej. Niestety nie możesz uzyskać wielu informacji o cenach ze strony internetowej Splunk i musisz skontaktować się z działem sprzedaży, aby uzyskać wycenę. Pomimo swojej ceny jest to świetny produkt i możesz chcieć skontaktować się ze Splunk, aby skorzystać z dostępnej bezpłatnej wersji próbnej.

3. Świadek sieci

W ciągu ostatnich kilku lat NetWitness koncentrował się na produktach obsługujących „ głęboką świadomość sytuacyjną sieci w czasie rzeczywistym i zwinne reagowanie w sieci ”. Po wykupieniu przez firmę EMC, która następnie połączyła się z Dell , firma Netwitness jest teraz częścią oddziału korporacji RSA . To dobra wiadomość, ponieważ RSA cieszy się doskonałą reputacją w dziedzinie bezpieczeństwa.

NetWitness jest idealnym rozwiązaniem dla organizacji poszukujących kompletnego rozwiązania do analizy sieci. Narzędzie zawiera informacje o Twojej firmie, co pomaga ustalać priorytety alertów. Według RSA system “ gromadzi dane w większej liczbie punktów przechwytywania, platform obliczeniowych i źródeł analizy zagrożeń niż inne rozwiązania SIEM ”. Istnieje również zaawansowana funkcja wykrywania zagrożeń, która łączy analizę behawioralną, techniki nauki o danych i analizę zagrożeń. I wreszcie, zaawansowany system reagowania oferuje funkcje orkiestracji i automatyzacji, które pomagają eliminować zagrożenia, zanim wpłyną one na Twoją firmę.

Jedną z głównych wad NetWitness jest to, że nie jest najłatwiejsza w konfiguracji i obsłudze. Dostępna jest jednak obszerna dokumentacja, która może pomóc w konfiguracji i korzystaniu z produktu. Jest to kolejny produkt klasy korporacyjnej i, jak to często bywa w przypadku takich produktów, musisz skontaktować się z działem sprzedaży, aby uzyskać informacje o cenach.